双因素认证

Question

我从所有的研究中总结出了两个因素的认证，并得出结论:我想用“某人拥有的东西”和“某人知道的东西”来进行认证。

我有几个选项，但我想知道是否真正算为2因素认证。请记住，这是用于

1. 防火墙IP过滤-某人必须有一个特定的IP / SSH密码。
2. SSH私钥(每个用户)/ SSH用户密码
3. 发送到个人/ SSH密钥或密码的动态令牌的电话/SMS身份验证

如果这些可行的话，有什么想法吗？或者有其他选择吗？

Answer 1

防火墙IP过滤-某人必须有一个特定的IP / SSH密码。

某人拥有的东西意味着“占有”，而不是“要求”。它通常指的是硬件令牌--比如RSA的SecurID fob，或Yubikey。特别是，它意味着一些独特的东西，一次只能被一个人占有。ssh密码绝对不合格，因为密码可以通过多种方式(安装木马的ssh守护进程、keylogger、可视化观察等)被破坏。双因素身份验证通常用于处理影响基于密码的身份验证的非常实际的问题。

IP地址不利于身份验证，因为(a)它们相当容易伪造，(b)多个人可以从同一个ip地址连接。特别是，如果人们通过路由器从家里连接，那么您就依赖于他们网络的安全性(这是一个开放的wifi网络吗？)他们和邻居一起分享吗？)

SSH私钥(每个用户)/ SSH用户密码

这是你的“某人知道的事情”。SSH密钥比密码更可取，因为这减少了有人的密码被安装了木马的ssh服务器恢复的可能性。这确实要求您的用户理解如何照顾他们的私钥(确保他们总是有密码，永远不要将他们放在共享存储中，等等)。

发送给一个人的动态令牌的电话/SMS身份验证

这是专用硬件令牌的典型替代(假设接收到给定号码的SMS消息的能力要求您拥有适当的移动电话)。例如，谷歌将其用于双因素认证，并且有许多产品可以让你自己推出。

总结如下：

SSH密钥+硬件令牌或SMS身份验证是一个很好且相当常见的解决方案。密码而不是ssh密钥也很常见，但我喜欢反对它们，因为密码容易出现许多问题。

Answer 2

我认为这里的答案是“视情况而定”。在许多方面，SMS是一个非常薄弱的系统。我在这里报道了其中的一些内容：http://www.wikidsystems.com/WiKIDBlog/fraudsters-defeat-poor-risk-management-not-two-factor-authentication。这里有几个风险。一是SMS是一种非常流行的安全机制，攻击者攻击SMS服务并造成许多破坏，包括对您的破坏。另一个原因是，你的应用程序很有诱惑力，可以成为目标，就像我在文章中的例子一样。

IP地址很容易被欺骗，所以这并不能真正增加安全性，但是就像更改SSH的端口#一样，您可能会减少日志数据。

另外，您还需要一个定制的PAM模块来实现这一点吗？我不熟悉将检查密钥和OTP的pam模块。密钥通常由SSH处理，密码由PAM处理。

HTH，